TCP-uudelleenlähetykset vs. IPsec-toistojen hylkäykset: lue jokainen kerros

Kolme eri työkalua raportoi kolme eri duplikaattia, ja vain yksi niistä on verkkotapahtuma, johon voit vaikuttaa. TCP-uudelleenlähetys on lähettäjä, joka lähettää välin uudelleen, kaksois-ACK on vastaanottaja, joka toistaa kuittauksen, ja ESP-toiston hylkäys on tietoturvayhteys, joka hylkää jo hyväksymänsä järjestysnumeron. Mikään kolmesta ei edellytä toisia. Lue jokainen laskuri kerroksessa, joka sen tuottaa, ennen kuin yhdistät ne tarinaksi.

Kolme laskuria, jotka eivät koskaan mittaa samaa tapahtumaa

TCP-uudelleenlähetyksen merkintä tarkoittaa, että lähettäjä asetti järjestysvälin uudelleen johtimelle. Häviö on yksi syy siihen, ja hallussasi olevasta tallenteesta voi yksinkertaisesti puuttua alkuperäinen paketti tai kuittaus, joka selittäisi ajoituksen. Kaksois-ACK on vastaanottaja, joka toistaa kumulatiivisen kuittauksen TCP:n palautussääntöjen mukaan, eikä se ole sovelluksen kaksoiskirjoitus eikä datan toinen kopio.

ESP toimii omassa järjestysavaruudessaan. Jokainen tietoturvayhteys numeroi lähettämänsä paketit, ja vastaanottaja pitää ikkunaa jo hyväksymistään numeroista, joten kahdesti saapuva ESP-paketti hylätään pelkästään näiden sääntöjen perusteella. Uudelleenlähetetty TCP-segmentti kulkee siis tuoreessa ESP-paketissa tuoreella järjestysnumerolla, mikä on oikea toimintatapa molemmissa kerroksissa. Samat tavut voivat näyttää uusilta yhdessä laskurissa ja vanhoilta toisessa, eikä kumpikaan kerros valehtele.

Mitä analyysityökalu näkee ja mitä ei

Aloita analyysityökalun sanastosta, koska suodattimien nimet kuvaavat havaintoja eivätkä päätepisteiden sisäisyyttä. Samoilla nimillä laskeminen, joita työkalu käyttää, pitää sinut rehellisenä siitä, mitä itse asiassa mitattiin. Epätäydellisestä tallenteesta saatu luku on selvinneiden luku, ei johtimella tapahtuneiden luku.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lue näiden lukujen vieressä oleva asiantuntijatieto, koska tarkistussummaa ja järjestystä koskevat varoitukset muuttavat sitä, kuinka paljon painoa ne ansaitsevat. Kahden anturin yhdistetty jälki voi näyttää yhden kehyksen kahdesti, ja molempien kopioiden laskeminen keksii palautumistapahtuman, jota ei koskaan tapahtunut.

ESP-laskurit elävät ytimen tilassa

ESP-järjestysnumerot kuuluvat tietoturvayhteydelle, eivät TCP-virralle, joten yhdyskäytävä on paikka, josta kysyä. Tilaluettelo raportoi yhteyksittäiset paketti- ja virhelaskurit, joita mikään tallenne ei voi rakentaa uudelleen.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 määrittelee järjestysnumeron ja sitä kuluttavan toistonsuojaisen ikkunan, minkä vuoksi laskuri kasvaa, vaikka mikään ei olisi vialla. Monotoniset ulommat järjestysnumerot ilman vastaavaa TCP-poikkeamaa viittaavat toiseen lähettäjään tai kahdennettuun reittiin eivätkä uudelleenlähetysmyrskyyn. Salatun tunnelin ulompi tallenne yleensä kätkee sisemmät TCP-järjestysnumerot, joten se ei voi todistaa, mitä sisempi pino teki. Tallenna tunnelin sisältä vain siellä, missä käytäntö sallii, äläkä koskaan poista toistonsuojausta käytöstä vaientaaksesi asiaankuulumattoman varoituksen.

Missä havaintopiste muuttaa vastausta

Ennen eskalointia kirjoita ylös, miten tallenne otettiin: käyttöliittymä, raportoiko tallennusprosessi pudotuksista ja ovatko aikaleimat vertailukelpoisia anturien välillä. Yksi havaintopiste ei näe reitin molempia päitä, joten jokainen lause vastaanottajan käyttäytymisestä on päätelmä, ei mittaus. Yhdyskäytävällä otettu jälki ja isännällä otettu jälki ovat eri mieltä järjestyksestä kuormituksen alla, ja se erimielisyys kuuluu yleensä tallenteelle eikä tunnelille. Kahden näkymän korrelointi on se, mikä muuttaa luvun todisteeksi.

Käytä yhtä sallittua sovellusvirtaa ja kirjaa päätepisteiden laskurit tallenteen lukujen viereen samalla hetkellä. Jos luvut ovat eri mieltä, luota siihen kerrokseen, joka omistaa tapahtuman, ja kohtele toista havaintoartefaktina, kunnes toisin todistetaan. Tämä sääntö ratkaisee useimmat näistä tapauksista koskematta tunnelin kokoonpanoon.

Lukujen lukeminen oikeassa järjestyksessä

Aloita kerroksesta, jossa kysymys esitettiin: TCP-varoitus vastataan TCP-tallenteesta ja ESP-hylkäys vastataan yhdyskäytävän tietoturvayhteyden laskureista. Vasta sitten kysy, kuvaavatko molemmat näkymät samaa pakettia. Päätelmä, joka tarvitsee molemmat kerrokset, mainitsee molemmat, koska tunnelia koskeva väite, joka nojaa pelkkään TCP-merkintään, on arvaus.

Kirjaa kerros, laskuri ja havaintopiste jokaisesta löydöksestä, niin seuraava lukija ei sulata kolmea tapahtumaa yhdeksi kuvitelluksi viaksi. Eskaloi näillä kolmella kentällä, ja korjaus seuraa yleensä ensimmäisestä.